XML Parser

XML well-formed mengikuti aturan sintaks dasar XML (penyarangan benar, tag penutup, satu elemen akar). XML valid adalah well-formed DAN sesuai dengan skema (DTD, XSD) yang mendefinisikan struktur dan tipe data yang diizinkan.

Tidak, tool ini hanya memeriksa ke-well-formed-an (kebenaran sintaks). Validasi berbasis skema terhadap DTD atau XSD tidak didukung secara native di browser.

document.evaluate() native browser mendukung XPath 1.0. Ini mencakup sebagian besar query umum termasuk axes, predikat, dan fungsi seperti contains(), text(), dan @attribute.

Namespace memetakan nama elemen ke URI lewat atribut xmlns - misalnya elemen atom:feed yang mendeklarasikan xmlns:atom="http://www.w3.org/2005/Atom". Prefiksnya sembarang; hanya URI yang mengidentifikasi namespace, jadi dua dokumen bisa memakai prefiks berbeda untuk kosakata yang sama. Karena itulah pencocokan XPath sering butuh trik local-name() saat prefiksnya berbeda.

Ekspresi XPath 1.0 menelusuri pohon: /rss/channel/item memilih lewat jalur, //item menemukan item di mana pun di dokumen, item[@type='news'] memfilter atas atribut, dan predikat seperti item[1] atau item[last()] memilih node tertentu. Inilah bahasa query di balik XSLT, banyak framework pengujian, dan evaluator tool ini.

Injeksi XXE (XML External Entity) menyalahgunakan entity DTD yang menunjuk ke path file atau URL, membuat parser sisi server mengambilnya - secara historis membocorkan /etc/passwd atau layanan internal. Parser XML browser tidak me-resolve entity eksternal, dan tool ini berjalan sepenuhnya di browser Anda tanpa perjalanan pulang ke server, jadi XML yang ditempel tidak bisa memicu pembacaan file atau SSRF.

DOM memuat seluruh dokumen ke dalam pohon yang bisa dinavigasi acak - intuitif tapi boros memori untuk file raksasa. SAX mengalirkan event (tag awal, teks, tag akhir) dalam satu pass dengan memori konstan - cepat tapi hanya maju. JavaScript browser menyediakan DOMParser (gaya DOM); XML streaming di JavaScript butuh library atau Web Streams.

Escape sebagai &lt; dan &amp; dalam teks biasa - < dan & ilegal mentah dalam data karakter. Untuk blok teks padat markup, bungkus dalam seksi CDATA, yang tak butuh escaping sampai bertemu urutan ]]> di akhirnya. Hanya < dan & yang wajib dalam konten; > harus di-escape hanya saat membentuk urutan penutup itu.